PrestaShop : faille d'autorisation de l'API Webservice multiboutique corrigée en 9.2.1

En bref

• Produit : PrestaShop (paquet prestashop/prestashop), API Webservice en mode multiboutique.
• Versions affectées : à partir de 9.0.0 et avant 9.2.1. L'avis cite aussi un correctif pour la branche 8 (8.2.9) ; la plage exacte des versions 8 concernées est non précisée par l'éditeur.
• Version corrigée : 9.2.1 (8.2.9 pour la branche 8).
• Sévérité : élevée, score CVSS 8.1.
• CVE : CVE-2026-71531 (avis GHSA-3f36-4qv4-vfgh).
• Exploitation active : inconnu.
• Date de l'avis : 9 novembre 2026.

L'équipe de sécurité de PrestaShop a publié un avis concernant l'API Webservice du logiciel. Lorsqu'une installation gère plusieurs boutiques, une clé d'API pourtant restreinte à une seule boutique pouvait agir sur les données de toutes les boutiques. Il s'agit d'un défaut de contrôle d'autorisation, que l'éditeur rattache aux catégories « autorisation manquante » et « autorisation incorrecte ».

Selon l'avis, certaines requêtes visant l'ensemble des boutiques ou un groupe de boutiques élargissaient le contexte de travail de l'API sans vérifier les boutiques réellement associées à la clé. La clé était ensuite acceptée dès lors qu'elle était liée à l'une d'elles. Une clé limitée à une boutique pouvait donc lire, et dans la limite de ses permissions modifier ou supprimer, des données de boutiques auxquelles elle n'est pas rattachée, par exemple les fiches clients complètes de toutes les boutiques.

Qui est concerné ?

Sont concernées les installations PrestaShop dont la version est comprise entre 9.0.0 et la version précédant 9.2.1, ainsi que, d'après l'avis, les installations de la branche 8 qui n'ont pas reçu le correctif 8.2.9. Le risque porte avant tout sur les sites qui réunissent plusieurs boutiques dans une même installation et qui ont activé l'API Webservice avec des clés restreintes à une boutique, par exemple pour un partenaire ou un outil tiers.

Une installation qui n'utilise pas l'API Webservice, ou qui ne gère qu'une seule boutique, est moins exposée à ce scénario précis. La mise à jour reste néanmoins recommandée, puisqu'il s'agit d'un correctif de sécurité publié par l'éditeur. Les données en jeu, comme les fiches clients, sont souvent des données personnelles : un accès indu entre boutiques peut constituer une violation de données.

À la date de rédaction, la faille ne figure pas au catalogue des vulnérabilités activement exploitées de la CISA, et la source consultée ne signale aucune exploitation.

Que faire ?

• Mettre à jour PrestaShop vers la version corrigée 9.2.1, ou vers 8.2.9 si la boutique est encore sur la branche 8, après une sauvegarde complète et un test sur une préproduction.
• En attendant, désactiver l'API Webservice si elle n'est pas utilisée, comme le recommande l'éditeur.
• Si l'API doit rester active, considérer chaque clé restreinte à une boutique comme valable pour toutes les boutiques : réduire ses permissions au strict nécessaire et révoquer les clés inutilisées.
• Vérifier les journaux d'accès à l'API Webservice : appels inhabituels, volumes de lecture anormaux sur les clients ou les commandes, modifications ou suppressions inattendues.
• En cas de compromission avérée, régénérer les clés d'API, restaurer une sauvegarde saine antérieure à l'incident et évaluer l'obligation de notifier la violation de données personnelles.

Pour les sites PrestaShop suivis par Sentinelo, les mises à jour du core sont signalées, jamais appliquées automatiquement.

Sources

• Avis de sécurité officiel PrestaShop GHSA-3f36-4qv4-vfgh (GitHub Security Advisories)